GDPR – Regolamento (UE) 2016/679 sulla protezione dei dati personali
Il GDPR si applica:
alle organizzazioni stabilite nell’UE, anche se il trattamento avviene fuori dall’UE;
anche a organizzazioni extra-UE se offrono beni/servizi a persone nell’UE o monitorano il loro comportamento nell’UE.
Per dato personale si intende qualsiasi informazione relativa a una persona identificata o identificabile, anche tramite identificatori come nome, email, ID online, dati di localizzazione ecc.
Che cos’è il “SGPD” (Sistema di Gestione Privacy / Protezione Dati)?
Non è uno “standard certificabile” come ISO 9001: il GDPR è una legge. In pratica però, per rispettarlo serve un sistema organizzato (qui lo chiamo SGPD) fatto di:
governance e ruoli (chi decide finalità e mezzi = titolare, chi tratta per conto del titolare = responsabile);
regole e procedure (privacy policy, gestione consensi, gestione richieste degli interessati, data breach, fornitori);
documentazione e controlli (registro dei trattamenti, misure di sicurezza, valutazioni del rischio).
L’idea è rendere la privacy un processo ripetibile e verificabile, non una serie di adempimenti “una tantum”.
Vantaggi dell’implementazione del SGPD
Un SGPD ben fatto aiuta a:
ridurre rischio legale e sanzioni (il GDPR prevede sanzioni che, nei casi più gravi, possono arrivare fino a 20 milioni di € o 4% del fatturato mondiale annuo, a seconda di quale valore sia maggiore).
gestire correttamente le richieste degli interessati (accesso, rettifica, cancellazione, portabilità, opposizione…);
migliorare fiducia di clienti/stakeholder (dimostrando controllo e responsabilità sul dato);
rendere più solide le scelte su sicurezza, fornitori e trasferimenti di dati, riducendo rischio reputazionale in caso di incidenti.
Da dove iniziare?
Step 1 — Definisci perimetro e mappa i trattamenti
Individua quali dati personali gestisci, dove stanno (sistemi/app/archivi), chi li usa e per quali finalità. Formalizza tutto nel Registro delle attività di trattamento (RoPA).
Step 2 — Metti in chiaro le basi giuridiche
Per ogni trattamento devi avere una base valida: ad esempio consenso, contratto, obbligo legale, interessi vitali, compito di interesse pubblico, legittimo interesse (con bilanciamento).
Step 3 — Sistema “consenso & trasparenza” (dove serve)
Se usi il consenso, devi poter dimostrare che è stato prestato e garantire che possa essere revocato. Il GDPR richiede che il titolare sia in grado di provare il consenso. In più, il regolamento chiarisce che il consenso non può derivare da silenzio o caselle preselezionate (serve un’azione positiva).
Step 4 — Valuta i rischi e applica misure di sicurezza
Imposta un approccio basato sul rischio e adotta misure tecniche/organizzative adeguate per garantire la sicurezza del trattamento (es. controllo accessi, backup, cifratura dove opportuno, logging, gestione vulnerabilità, formazione).
Step 5 — Procedure operative: diritti e incidenti (data breach)
Prepara procedure per gestire le richieste degli interessati (accesso, rettifica, cancellazione, portabilità…) e un processo di gestione incidenti: in caso di violazione dei dati personali, la notifica all’autorità deve avvenire entro 72 ore da quando se ne viene a conoscenza (salvo eccezioni previste).